감사인 초대 (Auditor)
컴플라이언스 심사나 외부 감사를 진행할 때, 조직 내부 계정을 새로 만들지 않고도 외부 감사인에게 필요한 범위만, 정해진 기간 동안, 읽기 전용으로 열어 줄 수 있습니다. 이 문서는 감사인 초대·접근 범위·만료 처리 방법과, 감사인이 할 수 있는 일·할 수 없는 일을 설명합니다.
1. 감사인 초대하기 (포털)
감사인 초대는 조직 포털의 Members 페이지에서, 관리자만 할 수 있습니다. 일반 멤버 초대 양식과는 별도로 "Invite auditor" 카드가 있습니다.
- 감사인의 이메일 주소를 입력합니다.
- 접근 범위를 고릅니다 — 연결 그룹(프로젝트 그룹) 단위, 개별 연결 단위 어느 쪽이든, 여러 개를 함께 선택할 수 있습니다. 최소 1개는 선택해야 합니다(아무것도 선택하지 않은 초대는 아무 권한도 주지 않으므로 거부됩니다).
- 만료일을 정합니다 — 기본값은 오늘부터 30일 뒤이며, 최대 365일 뒤까지만 지정할 수 있습니다.
- Invite auditor를 누르면 초대 메일이 발송됩니다. 초대를 수락하면 감사인 계정이 만들어지고, 지정한 범위·만료일로 접근 권한(부여, grant)이 함께 생성됩니다.
이미 감사인 계정이 있는 사람에게 다른 연결·그룹을 추가로 열어 주려면, 같은 페이지의 Grant access에서 대상 감사인을 고르고 범위·만료일·메모(선택)를 지정합니다. 이 경로로 만든 권한에는 메모를 남길 수 있지만, 최초 초대에는 메모 항목이 없습니다.
감사인의 역할은 멤버 목록의 역할 선택창에서 바꿀 수 없습니다. 감사인이 무엇을 볼 수 있는지는 오직 아래에서 설명하는 부여(grant) 목록으로 정해지며, 멤버 목록에는 "언제까지 접근 가능" 또는 "활성 접근 없음"이 함께 표시됩니다.
2. 접근 범위: 연결과 연결 그룹
감사인의 접근 범위는 둘 중 하나(또는 조합)로 지정합니다.
- 연결 그룹 단위 — 프로젝트 그룹 하나를 통째로 지정하면, 그 그룹에 속한 연결을 전부(나중에 추가되는 연결 포함) 볼 수 있습니다. 조직 프로젝트 전체를 감사할 때 씁니다.
- 개별 연결 단위 — 특정 AWS 계정 연결 하나(또는 몇 개)만 지정합니다. 한 계정만 감사할 때 씁니다.
부여 목록에는 지금까지 부여한 항목이 철회되거나 만료된 것까지 포함해 모두 남습니다 — "언제 무엇을 열어 줬는가" 자체가 기록이기 때문입니다. 각 항목에 지금 유효한지(활성 여부)가 함께 표시됩니다.
3. 만료·연장·철회
- 만료일 연장 — 부여 목록에서 연장을 실행하면, 기존 항목을 만료 처리하고 같은 범위로 새 부여를 새 만료일로 만듭니다. 기존 만료일이 조용히 미뤄지는 것이 아니라, "언제부터 언제까지 열려 있었는지"가 이력에 그대로 남는 방식입니다.
- 즉시 철회 — 관리자는 언제든 부여를 철회할 수 있습니다. 철회하면 해당 감사인의 로그인 세션이 즉시 무효화되어, 이미 발급된 세션이 남은 기간을 계속 쓰는 일이 없습니다.
- 자연 만료 — 만료일이 지나면 별도 조치 없이 접근이 끝납니다. 감사인의 세션 자체가 그 만료 시각을 넘어서까지 유지되지 않도록 만들어져 있어, 시간이 지나면 다시 로그인하거나 화면을 새로고침해도 더 이상 들어갈 수 없습니다.
감사인 한 명에게 여러 건의 부여가 있을 수 있고, 이 경우 접근은 가장 이른 만료일을 기준으로 끝납니다(부여마다 범위가 다르면 범위별로 각각의 만료일이 적용됩니다).
4. 감사인이 할 수 있는 것
- 부여받은 연결(계정)·연결 그룹의 읽기 전용 화면 전체 — 자산 인벤토리, 위험 평가 결과, IAM 분석, 네트워크·자산 그래프, 프로젝트 설정의 조회 항목 등.
- 리포트 조회와 PDF 내보내기 — 감사 목적상 증빙을 가져가는 것은 허용되는 동작입니다.
- 감사 추적(Audit Trail) 조회 — 부여받은 범위 안에서.
5. 감사인이 할 수 없는 것
- 쓰기 동작 전부 — 연결 생성·수정·삭제, 설정 변경, 멤버 관리, 스캔·동기화·IAM 분석 실행, 리포트 생성 등. 화면은 읽기 전용으로 표시되고, 서버 쪽에서도 모든 쓰기 요청이 거부됩니다.
- AWS 자격 증명(임시 credential)에 대한 접근 — 다른 읽기 전용 사용자는 상세 조회 화면이 내부적으로 자격 증명 발급 경로를 타는 경우가 있지만, 감사인은 이 경로가 예외 없이 차단됩니다. 감사인이 실제 AWS 자격 증명을 손에 쥐는 경우는 없습니다.
- 부여받지 않은 연결·그룹 조회 — 다른 테넌트의 프로젝트를 요청했을 때와 똑같이 "존재하지 않음"으로 응답합니다. 접근이 거부된 이유가 "권한이 없어서"인지 "애초에 없어서"인지 구분되지 않도록 하기 위한 설계입니다.
6. 모든 조회가 기록됩니다
감사인으로 로그인한 동안의 모든 조회 요청은 감사 추적에 남습니다. 리포트 조회·내보내기처럼 이미 별도의 항목으로 기록되는 동작은 그 항목 하나로 남고, 그 외의 모든 화면 조회는 "조회 기록(access.read)"이라는 별도 항목으로 남습니다 — 감사 추적에서 행위자 역할을 감사인으로 필터링하면 그 사람이 접속해서 무엇을 봤는지 전부 확인할 수 있습니다. 자세한 내용은 감사 추적 문서를 참고하세요.
7. 만료되면 어떻게 되나요
접근이 만료되거나 철회되면 감사인은 더 이상 로그인 상태를 유지할 수 없고, 다시 시도해도 "접근이 종료되었습니다" 안내와 함께 거부됩니다. 계속 접근이 필요하면 관리자가 포털에서 연장하거나 새 부여를 만들어야 합니다 — 감사인 스스로 기한을 늘릴 방법은 없습니다.